¿Qué determina la madurez de un Plan de Recuperación de TI (o IT #DisasterRecovery Plan)? #BusinessContinuity

En un artículo para Forrester Research, Stephanie Balaouras compartió aspectos clave para determinar el nivel de madurez de la planificación de la recuperación ante desastres para la infraestructura de TI. En general, lo que todos los estándares y guías de buenas prácticas recomiendan asegurar es:

• Patrocinio y compromiso de la alta dirección
• Personal que apoye el proceso
• Un análisis de impacto al negocio (BIA) actualizado regularmente
• Una evaluación de riesgos actualizada regularmente
• Estrategias para mitigar los riesgos más probables y de alto impacto
• Que estas estrategias estén documentadas en planes operativos
• Que estos planes sean probados bajo una determinada frecuencia
• Que estos planes sea actualizados continuamente
• Entrenamiento y sensibilización
• Coordinación con las iniciativas y lineamientos de Continuidad del Negocio

Algunos indicadores clave que comúnmente se utilizan para medir el desempeño y predecir la efectividad del Plan de Recuperación de TI son:

• Procesos de negocios cubiertos con acuerdos de contingencia tecnológica
• Número y grado de exposición de brechas en la preparación ante desastres (carencia de controles)
• Duración de la implementación de controles de mitigación
• Número de ejercicios y pruebas realizadas
• Número de deficiencias detectadas durante los ejercicios

En las revisiones con sus clientes, la especialista en IT disaster recovery suele revisar la existencia y desempeño de:

• Un data center de contingencia /  recuperación
• Data centers bien equipados y asegurados (tanto el de producción como el de contingencia)
• Mecanismos de respaldo, copias de seguridad y/o replicación avanzadas (acorde con los objetivos de punto de recuperación) por cada nivel de criticidad (por ejemplo, misión crítica, crítico para el negocio, importante para el negocio, etc.)
• Tecnologías de tolerancia a fallos para las aplicaciones (acorde con los objetivos de tiempo de recuperación) por cada nivel de criticidad (por ejemplo, misión crítica, crítico para el negocio, importante para el negocio, etc.)
• Técnicas para la gestión del ancho de banda (compresión , deduplicación, notificación de eventos, otras técnicas de optimización de la WAN)
• Eliminación de soluciones independientes / no-estandarizadas para el respaldo y replicación de datos.
• Nivel de automatización (¿se puede recuperar coherentemente un grupo de aplicaciones interdependientes y sistemas de TI a un punto en el tiempo en el data center de recuperación?)

• Configuraciones de data centers activo-activo (si es que se tiene una solución de disaster recovery)

• Coordinación con las funciones/departamentos de arquitectura empresarial (gestión de procesos) o arquitectura de la infraestructura de TI.

• Consideraciones de recuperación ante desastres integradas con el desarrollo de aplicaciones y las pruebas

• Las aplicaciones y los sistemas de TI que han sido incorporados en la contingencia tecnológica

• Protección de aplicaciones y sistemas de TI en sitios remotos

• Protección de las PCs a nivel corporativo

Este esfuerzo debe estar alineado con las necesidades de recuperación definidos por la empresa y en consonancia con los riesgos evaluados.

Asimismo, para las empresas más grandes, Balaouras también evalúa si han adoptado herramientas para mejorar la gestión, como mecanismos de comunicación automatizada y algún software de apoyo a la planificación; por último, evalúa si existe un gobierno centralizado para la recuperación ante desastres.

Fuente:
Balaouras, S. (2009). Measuring Disaster Recovery Maturity. Forrester Research. Recuperado de http://blogs.forrester.com/stephanie_balaouras/09-11-16-measuring_disaster_recovery_maturity